คู่มือจัดการคู่ค้าและ DPA สำหรับองค์กร ก่อนส่งข้อมูลจนเลิกใช้ระบบ
สำหรับประเด็น “จัดการคู่ค้าและ DPA” ต้องเริ่มจากข้อเท็จจริงของงานที่จะทำ บทความนี้อธิบายเงื่อนไขที่ทำให้คำตอบต่างกัน พร้อมวิธีตัดสินใจและหลักฐานที่ควรเตรียมก่อนเกิดข้อร้องเรียน
สถานการณ์แบบใดให้คำตอบต่างกัน
ตัวอย่างต่อไปนี้เป็นกรณีสมมติเพื่ออธิบายหลัก ไม่ใช่การเปิดเผยข้อมูลลูกความหรือคำพิพากษา
- จ้างทำเงินเดือนตามสูตรและรายชื่อที่บริษัทกำหนด ผู้ให้บริการมักเป็นผู้ประมวลผลสำหรับงานนั้น
- ส่งข้อมูลให้ผู้ประกอบวิชาชีพที่ตัดสินใจใช้ข้อมูลเพื่อหน้าที่ของตน ต้องแยกกิจกรรมที่เป็นผู้ควบคุมข้อมูลอีกฝ่าย
- ใช้คลาวด์ที่เสนอจะนำข้อมูลไปพัฒนาสินค้าของตน ต้องประเมินวัตถุประสงค์นั้นแยกจากงานรับจ้าง
ควรตัดสินใจตามลำดับใด
เริ่มจากเขียนว่าคู่ค้าได้รับข้อมูลอะไร ใครกำหนดวัตถุประสงค์และใครตัดสินใจใช้ข้อมูล หากทำแทนตามคำสั่งจึงวาง DPA ตามมาตรา 40 หากตัดสินใจใช้เพื่องานของตน ต้องตรวจฐานการเปิดเผยและหน้าที่ของผู้รับข้อมูลด้วย จากนั้นจึงตรวจผู้รับช่วง ประเทศปลายทาง และเงื่อนไขยุติบริการ
จัดการคู่ค้าและ DPA ต้องเดินงานอย่างไร
ก่อนคัดเลือก
ให้เจ้าของระบบระบุชุดข้อมูลและความจำเป็น ฝ่ายจัดซื้อขอหลักฐานความปลอดภัยที่ตรงกับบริการ ส่วนฝ่ายกฎหมายตรวจวัตถุประสงค์และเงื่อนไขการใช้ข้อมูล อย่าตัดสินจากใบรับรองที่ครอบคลุมคนละระบบ
ก่อนส่งข้อมูลจริง
แนบคำสั่งประมวลผล รายการผู้รับช่วงและช่องทางแจ้งเหตุในสัญญา ทดสอบบัญชีผู้ใช้ การจำกัดสิทธิ และการส่งออกข้อมูลด้วยข้อมูลทดสอบก่อน
ระหว่างใช้บริการ
ทบทวนเมื่อเพิ่มโมดูล เปลี่ยนประเทศจัดเก็บ หรือเพิ่มผู้รับช่วง ไม่ควรรอวันต่อสัญญาเพียงครั้งเดียว ตรวจว่าคำขอใช้สิทธิและเหตุผิดปกติถูกส่งต่อถึงผู้รับผิดชอบจริง
เมื่อยุติบริการ
ตรวจความครบถ้วนของข้อมูลที่รับคืนก่อนปิดบัญชี ระบุวิธีจัดการสำเนาสำรอง บันทึกที่ต้องเก็บตามกฎหมาย และกำหนดคนติดตามผลการลบ อย่าจ่ายงวดสุดท้ายโดยยังไม่รู้ว่าจะย้ายข้อมูลออกอย่างไร
ฐานกฎหมายและขอบเขตที่ต้องแยก
มาตรา 6 ให้ดูบทบาทตามข้อเท็จจริง มาตรา 40 กำหนดหน้าที่ผู้ประมวลผลและให้ผู้ควบคุมจัดทำข้อตกลงระหว่างกัน ส่วนมาตรา 37 กำหนดหน้าที่ด้านความปลอดภัย การป้องกันใช้หรือเปิดเผยโดยมิชอบ และการแจ้งเหตุของผู้ควบคุมข้อมูล
อ่านตัวบท พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 ประกอบการพิจารณาหน้าที่ของแต่ละฝ่าย
เลนส์ทนายยอดทิพย์ธรรม: ถ้าพลาดแล้วเรื่องไปทางใด
หากคู่ค้าทำตามมาตรการไม่ครบ องค์กรอาจถูกถามว่าตรวจเลือกและกำกับอย่างไร ขณะที่คู่ค้ามีหน้าที่ของตนตามมาตรา 40 การร้องเรียนต่อคณะกรรมการผู้เชี่ยวชาญและการเรียกค่าเสียหายตามสัญญาเป็นคนละทาง ต้องรักษาหลักฐานสำหรับทั้งสองทาง ไม่ควรรอให้คู่ค้ายอมรับผิดก่อนจัดการเหตุ
เมื่อได้รับหนังสือหรือข้อเรียกร้อง ให้ตรวจผู้ส่ง ประเด็นที่ถามและกำหนดตอบจากเอกสารจริง รักษาข้อมูลต้นฉบับที่เกี่ยวข้อง พร้อมแยกข้อเท็จจริงที่ยืนยันได้ออกจากประเด็นที่ยังสอบสวน การแก้ปัญหาปัจจุบันควรทำควบคู่กับการเตรียมชี้แจง โดยไม่แก้บันทึกเก่าให้คลาดจากเหตุการณ์
หลักฐานที่ต้องเก็บและวิธีจัดให้ใช้ได้จริง
- แผนผังข้อมูลที่เจ้าของระบบรับรองและบันทึกแยกบทบาทรายกิจกรรม
- DPA ฉบับลงนามพร้อมภาคผนวก คำสั่ง และประวัติการแก้ไข
- ผลตรวจคู่ค้า รายการสิทธิผู้ใช้ และบันทึกทดสอบการแจ้งเหตุ
- รายการส่งคืนข้อมูล ผลตรวจการลบ และข้อยกเว้นการเก็บที่มีเหตุผล
จุดที่ควรตรวจเพิ่มคือแผนผังข้อมูลที่เจ้าของระบบรับรองและบันทึกแยกบทบาทรายกิจกรรม เอกสารนี้ตอบได้เฉพาะข้อเท็จจริงที่มีการตรวจและรับรองไว้ หากอีกฝ่ายโต้แย้งว่างานจริงต่างจากเอกสาร ให้ใช้ข้อมูลจากระบบและผู้ปฏิบัติงานตรวจเทียบ ไม่สรุปว่ามีเอกสารแล้วจึงถูกต้องทุกขั้นตอน กรณีที่หลักฐานขัดกัน ควรเก็บทั้งสองชุดไว้พร้อมบันทึกเหตุที่ตรวจพบ เพื่อให้ผู้รับผิดชอบประเมินอย่างครบถ้วนและไม่ตัดข้อมูลที่เสียเปรียบออกจากแฟ้ม
ให้เจ้าของงานระบุผู้จัดทำ ผู้ตรวจรับ วันที่และเวอร์ชัน เก็บต้นฉบับในพื้นที่ที่จำกัดสิทธิตามหน้าที่ ส่วนสำเนาสำหรับตรวจควรปกปิดข้อมูลที่ไม่เกี่ยวข้อง ระยะเก็บต้องสัมพันธ์กับวัตถุประสงค์ หน้าที่ตามกฎหมายและสิทธิเรียกร้องที่เกี่ยวข้อง หากมีข้อพิพาทให้ประเมินการพักทำลายเฉพาะข้อมูลที่จำเป็น พร้อมกำหนดผู้ทบทวน ไม่เก็บทุกอย่างตลอดไป
นำไปใช้กับทีมงานอย่างไร
คนที่ต้องร่วมตัดสินใจ
เจ้าของบริการควรยืนยันว่าข้อมูลใดต้องส่งและผลหากระบบหยุด ฝ่ายเทคนิคตรวจว่ามาตรการทำงานจริง ฝ่ายจัดซื้อรักษาเงื่อนไขที่ตกลง ส่วนฝ่ายกฎหมายตรวจบทบาทและสิทธิ อย่าให้การรับรองของแผนกเดียวครอบข้อเท็จจริงที่แผนกนั้นไม่ได้ตรวจ
แยกสิ่งที่ทราบกับสิ่งที่คู่ค้ายังไม่ตอบ
ในบันทึกตรวจให้ระบุข้อเท็จจริงที่มีหลักฐาน ข้อมูลที่ยังรอ และผลต่อการตัดสินใจแยกกัน หากต้องเปิดใช้งานก่อนแก้ครบ ให้จำกัดข้อมูลหรือสิทธิ พร้อมผู้อนุมัติและวันทบทวนที่ชัดเจน การเงียบของคู่ค้าไม่ใช่การยืนยันว่าความเสี่ยงไม่มี
ตรวจภาคปฏิบัติก่อนถือว่าปิดงาน
ให้ทีมที่ต้องลงมือสาธิตขั้นตอนสำคัญด้วยข้อมูลทดสอบ บันทึกผลที่ทำได้และข้อจำกัด หากเอกสารสัญญารับรองมากกว่าระบบทำได้ ต้องแก้ทั้งเงื่อนไขและวิธีปฏิบัติ ไม่ทำเครื่องหมายผ่านเพียงเพราะมีลายเซ็นครบ
แผนลงมือวันนี้ ภายใน 7 วันและ 30 วัน
ช่วงเวลาต่อไปนี้เป็นตัวอย่างแผนจัดงานภายใน ไม่ใช่กำหนดตามกฎหมาย และไม่เลื่อนหน้าที่เร่งด่วนที่ต้องทำก่อน
| ช่วงงาน | งานที่มอบหมาย | สิ่งที่ใช้ตรวจรับ |
|---|---|---|
| วันนี้ | รวบรวมคู่ค้าที่เข้าถึงข้อมูลจริงจากฝ่ายจัดซื้อและเจ้าของระบบ | ขอบเขตงานและผู้รับผิดชอบ |
| ภายใน 7 วัน | จัดลำดับคู่ค้าที่มีข้อมูลอ่อนไหวหรือข้อมูลจำนวนมากแล้วตรวจสัญญาก่อน | ข้อค้นพบและรายการที่ต้องแก้ |
| ภายใน 30 วัน | ซ้อมแจ้งเหตุและย้ายข้อมูลออกกับคู่ค้าที่มีความเสี่ยงสูง | ผลตรวจหรือทดสอบและงานที่ยังค้าง |
ข้อผิดพลาดที่ควรหลีกเลี่ยง
การใช้ NDA แทน DPA ทำให้ขาดคำสั่งเกี่ยวกับการประมวลผล อีกข้อผิดพลาดคือจัดคู่ค้าทุกรายเป็นผู้ประมวลผล ทั้งที่บางกิจกรรมคู่ค้าตัดสินใจเอง ต้องแยกบทบาทในภาคผนวกให้ตรวจสอบได้
อ่านต่อและจัดระบบให้เหมาะกับองค์กร
สำหรับขั้นตอนที่เกี่ยวข้อง อ่านDPA คืออะไร สัญญากับคู่ค้ารายใดต้องมี และรายใดต้องแยกบทบาท และ10 จุดอันตรายใน DPA ที่ควรแก้ก่อนส่งข้อมูลให้คู่ค้า
หากงานเชื่อมกับกระบวนการอื่น ให้อ่านข้อมูลรั่วไหล ต้องแจ้งใครภายใน 72 ชั่วโมง? คู่มือรับมือ PDPA สำหรับองค์กรประกอบก่อนกำหนดผู้รับผิดชอบ
สำนักงานกฎหมายยอดทิพย์ธรรมช่วยตรวจข้อเท็จจริง เอกสารและพยานหลักฐานผ่านบริการกฎหมาย PDPA รวมถึงข้อสัญญากับคู่ค้า สามารถนัดหมายเพื่อนำเอกสารที่เกี่ยวข้องมาประเมินก่อนตัดสินใจ
บทความเจาะลึกในหมวดนี้
- 10 จุดอันตรายใน DPA ที่ควรแก้ก่อนส่งข้อมูลให้คู่ค้า
- ข้อมูลรั่วจากระบบเงินเดือนหรือคลาวด์ ใครรับผิดและใครต้องแจ้ง
- DPA คืออะไร สัญญากับคู่ค้ารายใดต้องมี และรายใดต้องแยกบทบาท
- ร่าง DPA ต้องมีข้อใดบ้าง ขอบเขตที่ทำให้สัญญาใช้งานได้จริง
- ข้อสัญญาแจ้งเหตุข้อมูลรั่วจากคู่ค้า ควรกำหนดกี่ชั่วโมง
- ตรวจคู่ค้าก่อนส่งข้อมูลพนักงานหรือลูกค้า ต้องขอหลักฐานอะไร
- ผู้รับช่วงประมวลผลคือใคร ต้องรู้รายชื่อแค่ไหนก่อนใช้บริการ
- จ้างภายนอกทำ HR เงินเดือน หรือคอลเซ็นเตอร์ ใครรับผิดตาม PDPA
- เลิกใช้ระบบของคู่ค้า ขอคืนและลบข้อมูลอย่างไรให้ปิดงานได้จริง
- เซิร์ฟเวอร์อยู่ต่างประเทศ ถือเป็นการโอนข้อมูลข้ามแดนหรือไม่
- ข้อจำกัดความรับผิดและชดใช้ค่าเสียหายใน DPA ใช้ได้แค่ไหนในไทย
- คู่ค้าทำข้อมูลรั่ว เรียกค่าเสียหายคืนได้ไหม และต้องพิสูจน์อะไร
อ่านต่อ: สิทธิและแนวปฏิบัติในสถานการณ์ที่เกี่ยวข้อง
- ซื้อรายชื่อเบอร์โทรลูกค้ามาใช้ขายของ ต้องตรวจอะไรตาม PDPA
- ร้านค้าและธุรกิจเล็กต้องทำ PDPA แค่ไหน เริ่มจากงานที่ใช้จริง
- ตำรวจหรือหน่วยงานรัฐขอข้อมูลลูกค้า บริษัทส่งได้แค่ไหน
- PDPA สำหรับเจ้าหนี้และธุรกิจสินเชื่อ ส่งข้อมูลให้ผู้ทวงหนี้อย่างไร
- PDPA บริษัทจัดหางานและ Outsource ส่งประวัติผู้สมัครให้ลูกค้าอย่างไร
- PDPA ร้านค้าออนไลน์และ Marketplace ใช้ข้อมูลออเดอร์ยิงโฆษณาได้ไหม
- ขายกิจการหรือควบรวม โอนฐานข้อมูลลูกค้าและพนักงานได้เลยไหม
ข้อมูลพนักงานและเงื่อนไขคู่ค้า: บทความเพิ่มเติม
การใช้ระบบร่วมและ AI: แนวทางตรวจข้อมูลก่อนใช้งาน
- บริษัทในเครือใช้ CRM ร่วมกัน ต้องแบ่งหน้าที่ข้อมูลอย่างไร
- ย้ายข้อมูลไประบบใหม่ แต่ระบบเก่ายังใช้ ต้องคุมอะไร
สาขาที่เชี่ยวชาญ: ครอบครัว · มรดกและพินัยกรรม · หนี้สินและบังคับคดี
ดูประวัติทีมทนายความ →บทความที่เกี่ยวข้อง
PDPA คุ้มครองข้อมูล
AI Agent เข้าถึงอีเมลและ CRM ต้องจำกัดอำนาจอย่างไร
AI Agent เข้าถึงอีเมลและ CRM ควรแยกสิทธิอ่าน ส่ง แก้ และลบ ตรวจจุดอนุมัติ อายุสิทธิ และหลักฐานผลจริง ก่อนให้ระบบทำงานแทนพนักงาน
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
PDPA คุ้มครองข้อมูล
AI สร้างข้อมูลผิดเกี่ยวกับลูกค้า บริษัทต้องตามแก้อย่างไร
AI สร้างข้อมูลผิดแล้วถูกส่งเข้า CRM ต้องตรวจต้นทางและตามแก้จุดใช้จริง ดูสิทธิแก้ไข การระงับระหว่างตรวจ และหลักฐานตอบคำร้องของลูกค้า
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
PDPA คุ้มครองข้อมูล
AI ค้นเอกสารภายใน ต้องป้องกันข้อมูลข้ามสิทธิอย่างไร
AI ค้นเอกสารภายในอาจตอบข้อมูลที่ผู้ถามไม่มีสิทธิ ดูวิธีตรวจแหล่งข้อมูล ดัชนี ประวัติ และผลทดสอบก่อนเปิดให้พนักงานค้นด้วยบัญชีจริง
นายเอกราช ทิพย์แมม
·อ่าน 7 นาที
ปรึกษาทีมทนาย PDPAของเรา
เราพร้อมรับฟังและประเมินแนวทางที่เหมาะกับกรณีของท่าน ทุกเรื่องเป็นความลับ